研究人员使用Anthropic的Claude入侵OpenAI

# 研究人员利用 Anthropic 的 Claude 入侵 OpenAI | TechCrunch 来源：https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/ 《华尔街日报》周四晚间报道，一个凸显人工智能安全进入奇特新阶段的事件中，独立安全研究人员利用 Anthropic 的 Claude 成功入侵 OpenAI，暴露出这家 ChatGPT 开发商防线中的漏洞（https://www.wsj.com/tech/ai/hackers-used-anthropics-claude-to-break-into-openai-b40ba883）。 初创公司 Hacktron AI（https://www.hacktron.ai/）的一个三人安全团队作为 OpenAI 漏洞赏金计划的一部分执行了此次攻击。Hacktron 将其发现报告给 OpenAI，后者向该初创公司颁发了 6,500 美元奖励。该团队设法串联两个关键漏洞，得以访问多个 OpenAI 员工的 ChatGPT 账户，从而进入了该公司的软件系统。 OpenAI 表示已解决 Hacktron 发现的问题，而这恰好发生在顶尖人工智能公司面临日益增长的安全压力之际（https://techcrunch.com/2026/09/16/anthropic-and-openai-want-to-embed-safety-evaluators-will-they-really-be-independent/）。 此次事件发生在数周前 OpenAI 自身的人工智能代理在网络安全评估中突破隔离并入侵 Hugging Face 之后（https://techcrunch.com/2026/07/21/openai-says-hugging-face-was-breached-by-its-pre-release-models/），展示了人工智能模型在自主决策方面变得何等强大（https://techcrunch.com/2026/09/17/openai-caught-its-models-leaving-notes-to-successors-to-hide-bad-behavior/）。它同时凸显了即使是现成技术也可用于发现最先进公司基础设施中的漏洞。 人工智能安全公司 Gray Swan 的首席执行官马特·弗雷德里克森告诉 TechCrunch：“每月只需 200 美元，任何人都可以使用这些工具入侵像 OpenAI 这样的公司。如果这事能发生在他们身上——我认为他们最近在网络安全防范上并未松懈——那它也可能发生在任何人身上。” 正如一位人工智能专家在社交媒体上指出的（https://x.com/AndrewCurran_/status/2100773011855134828）：“[Hacktron] 使用 Opus 5 完成了这次入侵...人们会问的是，如果这三个人能做到，一个国家能做到什么。” 研究人员于 7 月 25 日通过第三方软件 Discourse（OpenAI 社区论坛的运行平台）中的一个漏洞找到了进入 OpenAI 的途径。 根据研究人员发布的一篇博客文章（https://www.hacktron.ai/blog/hacking-openai?utm_source=x&utm_medium=social-personal&utm_campaign=disclosure&utm_content=openai-launch），入口点是一个平凡的图像上传操作。当用户向 OpenAI 社区论坛发布 HEIF 或 HEIC 图像文件（iPhone 默认使用的格式）时，Discourse 会将其通过一系列后台工具链转换为标准 JPEG。其第一站是 ImageMagick，这是一个已有数十年历史、用于调整图像大小的开源工具。由于 ImageMagick 的常规工具包无法处理 Apple 的格式，它将文件交给另一个名为 libheif 的库进行解码。 libheif 内部存在一个内存错误，为攻击者偷偷植入自己的指令打开了缺口。在本案例中，向该库提供一张精心制作的图像会导致它错误计算一张图像在另一张图像上的位置，这已足以劫持服务器。 可能让网络安全社区感到不安的是，该漏洞在数月前已被 libheif 的开发者修复。但该修复从未被正式标记为漏洞，这意味着它从未获得 CVE（通用漏洞披露）编号——这是行业追踪已知安全弱点的标准方式。Hacktron 表示，这或许可以解释为什么 Discourse 使用的软件仍在运行存在漏洞的版本。 值得注意的是，研究人员称他们使用的 Claude 模型——一个为网络安全研究人员提供的特殊版本 Opus 4.8——最初无法构建可用的漏洞利用程序。这一情况在 Anthropic 发布 Opus 5 后彻夜改变。 “Opus 4.8 在多个会话中挣扎着试图生成可用的漏洞利用程序，” Hacktron 在一篇博客文章中写道（https://www.hacktron.ai/blog/hacking-openai#opus-5-released）。“在 Opus 5 发布后的几小时内，我们向它提出了相同的问题，它成功了。” 进入 Discourse 服务器后，研究人员发现了另一个漏洞，使他们能够接管用户的 ChatGPT 和 Codex 账户，包括 OpenAI 员工的账户。 “随后我们接管了一个 OpenAI 员工的账户，其 Codex 连接到 OpenAI 的 GitHub 组织，” Hacktron 在其事件总结中写道。 此时，研究人员向 OpenAI 以及 Discourse 发出了警报，Discourse 于 7 月 27 日发布了修复程序。 该事件凸显了模型能力界限的划定问题。最终破解漏洞的 Claude Opus 5 版本未面临任何安全出口限制，而较新的版本 Mythos 5 则因其先进的黑客能力曾被临时锁定（https://techcrunch.com/2026/06/15/the-us-governments-anthropic-models-ban-was-never-about-an-ai-jailbreak/）。 这些还只是闭源模型。开源权重模型在网络能力方面正日益追赶前沿（https://techcrunch.com/2026/08/04/open-weight-ai-models-are-catching-up-to-the-frontier-the-safety-gap-remains/）。例如，人工智能安全非营利组织 SaferAI 最近发现，中国公司 Z.ai 的 GLM-5.2 仅落后于 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 几个月。 正如 Hacktron 创始人 Mohan Pedhapati 在 X 上所言：（https://x.com/s1r1u5_/status/2100777832297447442）“人工智能正在减少开发漏洞利用程序所需的稀缺专业知识。曾经需要数月的工作现在可能只需数天。” *当您通过文章中的链接购买商品时，我们可能会获得少量佣金（https://techcrunch.com/techcrunch-affiliate-monetization-standards/）。这不会影响我们的编辑独立性。* Rebecca Bellan 是 TechCrunch 的高级记者，负责报道塑造人工智能领域的商业、政策和新兴趋势。她的作品也曾发表于《福布斯》、彭博社、《大西洋月刊》、《每日野兽报》及其他出版物。 您可以通过电子邮件 [[email protected]](mailto:[email protected]) 或通过 Signal 的加密消息 rebeccabellan.491 联系或验证 Rebecca 的联系。 查看个人简介 (https://techcrunch.com/author/rebecca-bellan/)